Mae ping VPN yn gweithio ond mae'r wefan yn hongian: gwiriwch y maint

Mae atebion eco yn cyrraedd, mae'r bwrdd gwaith o bell yn gweithio, ac mae'r porwr yn eistedd ar dudalen wag nes iddo roi'r gorau iddi. Mae dau esboniad yn ffitio'r patrwm hwnnw, ac nid ydynt yn amrywiadau o un broblem: polisi na chaniataodd y gwasanaeth erioed, neu becynnau sy'n peidio â ffitio unwaith y bydd y trosglwyddiad yn tyfu. Nid yw'r ateb eco yn diystyru'r naill na'r llall.

Cerddwch o'r cwestiwn lleiaf i'r un mwyaf, ac ysgrifennwch beth y gwnaeth pob cam ei brofi mewn gwirionedd.

Mae ateb eco yn ateb cwestiwn llawer llai

Mae ateb eco yn dweud bod stac IP y cyrchfan wedi ateb cais ICMP o'ch ffynhonnell. Nid yw'n dweud dim am a oes gwrandawr TCP ar y porth sydd ei angen arnoch, a yw polisi yn caniatáu'r porth hwnnw, neu a yw'r gwesteiwr cyrchfan yn hidlo traffig yn annibynnol ar y porth. Gall porth sy'n caniatáu un gwasanaeth ollwng un arall tra bod y ddau darged yn ateb ping. Darllenwch yr ateb fel un ffaith am un pecyn ac un cyfeiriad.

Cadarnhewch y cyrchfan a phorth y gwasanaeth cyn dehongli unrhyw beth arall. Mae'r cyfeiriad a brofwyd gennych a'r cyfeiriad y mae'r rhaglen yn ei ddefnyddio weithiau'n gofnodion gwahanol, ac mae enw sy'n datrys i ddau gyfeiriad yn gwneud hynny'n debygol.

Darganfyddwch a ddechreuodd y cysylltiad

Mae cysylltiad a wrthodir ar unwaith yn ateb gan y gwrandawr neu'r polisi: atebodd rhywbeth a dweud na. Mae cysylltiad sy'n agor ac wedyn yn aros pan fo data yn dechrau symud yn awgrymu maint. Mae cysylltiad nad yw byth yn cwblhau'r ysgwyd llaw fel arfer yn fater o bolisi neu lwybr, ac mae'n edrych fel cyfnod aros yn hytrach nag ymwrthod.

curl -v --max-time 10 https://internal.example/ -o /dev/null
ss -tn state established '( dport = :443 )'

Cofnodwch pa un o'r tri hynny a welsoch cyn cyffwrdd â gosodiadau MTU. Mae newid maint twnnel i drwsio cysylltiad a wrthodwyd yn gwastraffu'r newid ac yn cuddio'r gwir achos am gyfnod.

Mesurwch y maint â rhif a nodir

Pan fo'r aros yn ymddangos dan lwyth, profwch un maint pecyn gyda'r did peidio â darnio wedi'i osod a nodwch yr arithmetic fel bod yr canlyniad yn golygu rhywbeth. Ar Linux gyda iputils, mae llwyth defnyddiol o 1392 beit ynghyd â phennawd ICMP 8 beit a phennawd IPv4 20 beit yn cynhyrchu pecyn mewnol o union 1420 beit. Nodwch yr arithmetic hwnnw yn y tocyn, oherwydd nid yw ping noeth sy'n cyrraedd y porth yn profi dim am raglen.

ping -4 -M do -s 1392 10.44.0.10
ping -4 -M do -s 1372 10.44.0.10

Mae'r ddau brawf yn bwyntiau mesur, nid yn argymhellion maint twnnel. Os yw ICMP yn cael ei hidlo yn unrhyw le ar y llwybr, nid yw cyfnod aros yn dweud dim wrthych am faint, oherwydd mae hidlo a phecyn rhy fawr yn edrych yr un fath o safbwynt y cleient. Nid yw llwyddiant ychwaith yn dweud dim am y cyfeiriad gwrthdro nac am gyrchfan wahanol.

Cyfrifwch y llwybr allanol

Mae amgáu yn ychwanegu ei benawdau ei hun, felly mae'r pecyn ar y wifren yn fwy na'r pecyn a fesuroch y tu mewn i'r twnnel. Y bwlch rhwng y ddau sy'n gwneud cais bach sy'n gweithio a chais mawr sy'n methu yn bosibl ar yr un pryd.

Mae darganfod MTU llwybr yn IPv4 yn dibynnu ar adborth am becynnau na ellir eu hanfon ymlaen heb ddarnio, ac mae IPv6 yn defnyddio negeseuon Packet Too Big. Mae manyleb IPv4 yn disgrifio'r mecanwaith hwnnw. Mae hidlo'r adborth yn torri gallu'r anfonwr i ddysgu, ac yn ei adael yn ail-anfon pecynnau na fyddant byth yn ffitio. Dyna pam mae cais bach sy'n gweithio a chais mawr sy'n methu yn cydfodoli mor gyfforddus.

Newidiwch un rhif ac ailbrofwch y rhaglen

Gostyngwch MTU y twnnel, neu gyfyngwch faint mwyaf y segment ar gyfer TCP, yna ailadroddwch brawf gwreiddiol y rhaglen yn hytrach na'r prawf. Mae prawf sy'n llwyddo ar ôl y newid a rhaglen sy'n hongian o hyd yn broblem wahanol o siâp tebyg, a dim ond prawf y rhaglen sy'n eu gwahaniaethu.

Cadwch yr arithmetic yng nghofnod y newid: y maint a fesurwyd, y gorbenion a dybiasoch, a'r gwerth a osodwyd gennych. Gall unrhyw un sy'n ei adolygu yn ddiweddarach wirio'r dybiaeth yn hytrach na'i hail-ddod o sgrinlun o ping.

Os yw'r rhaglen yn gweithio ar bob maint a geisioch, stopiwch addasu rhifau ac edrychwch ar y polisi sy'n gwahanu'r gwasanaeth sy'n gweithio oddi wrth yr un sy'n methu.